JP2009219128A - Ｄｏｓ／ＤＤｏｓ攻撃を防ぐ加入者線終端装置及びユーザ端末 - Google Patents

Abstract

【課題】Ｄｏｓ／ＤＤｏｓ攻撃を防ぐ加入者線終端装置及びユーザ端末に関し、ＤｏＳ／ＤＤｏＳ攻撃によるパケット廃棄の処理負担の増大によって、ＣＰＵの処理機能が麻痺するのをユーザ宅内の装置側で自動的に防護する。
【解決手段】外部ネットワークから大量のパケットが意図的に送出されるＤｏＳ／ＤＤｏＳ攻撃を受けると、ユーザ側の加入者線終端装置２でＩＤＳ機能等により検出し、加入者線終端装置２のＣＰＵへの負荷が閾値を超えたときに、上位通信装置の加入者線終端集合側装置４に対して、ＤｏＳ／ＤＤｏＳ攻撃に係るパケットを転送しないよう要求する転送拒否要求を通知する。加入者線終端集合側装置４で、パケットの送信元アドレス、送信元ポート番号又はプロトコルによってフィルタリングを行い、ＤｏＳ／ＤＤｏＳ攻撃によるパケットを加入者線終端集合側装置４で廃棄する。
【選択図】図１

Description

本発明は、Ｄｏｓ／ＤＤｏｓ攻撃を防ぐ加入者線終端装置及びユーザ端末に関し、特に、イーサネット（登録商標）やＩＰ（Internet Protocol）ネットワーク技術をベースとするルータやホームゲートウェイなど、主に一般の家庭内や事務所内に設置され、Ｄｏｓ（Denial of Services：サービス拒否）攻撃又はＤＤｏｓ（Distributed Ｄｏｓ：分散型サービス拒否）攻撃を防ぐ加入者線終端装置及びユーザ端末に関する。

現在、アクセスライン（加入者線）は、ＦＴＴＨ（Fiber To The Home：光ファイバーによる家庭向けのデータ通信サービス）やＡＤＳＬ（Asymmetric Digital Subscriber Line：非対称型ディジタル加入者線による通信サービス）によって、ブロードバンドネットワークが大幅に普及し、家庭や事務所からインターネットに接続するために、ブロードバンドルータ、ＡＤＳＬモデム、ＣＡＴＶ（Community Antenna TeleVision）モデム等が各ユーザ宅内に設置されている。また、宅内ネットワークに繋がれた情報家電と呼ばれる家庭電気製品を外部から制御するために、宅内ＬＡＮ（Local Area Network）と外部ＷＡＮ（Wide Area Network）との境界点に、ホームゲートウェイなどと呼ばれる機器も設置され始めている。

このようなユーザ宅に設置される加入者線を終端する装置は、通信事業者と接続して通信サービスを提供するために、ＰＰＰ（Point to Point Protocol）やＤＨＣＰ（Dynamic Host Configuration Protocol）の機能の他に、一般的にＮＡＴ／ＮＡＰＴ（Network Address Translation/Network Address Port Translation）機能、フィルタリング機能、ＱｏＳ（Quality of Service）機能、ＵＰｎＰ（Universal Plug and Play）機能、無線ＬＡＮ機能、レイヤ２スイッチ機能等を備えている。また、ＶＰＮ（Virtual Private Network）機能やＩＰｓｅｃ（Security Architecture for ＩＰ）の機能を備えたものもある。

中でも家庭内や事務所内と外部のＷＡＮとの境界点の装置としては、ＬＡＮ内に対するセキュリティ機能が重要であり、フィルタリングやＳＰＩ（Stateful Packet Inspection）、ＮＡＴ／ＮＡＰＴ機能、ＩＤＳ（Intrusion Detection System：通信回線を監視し、ネットワークへの侵入を検知して管理者に通報するシステム）の機能により、ＬＡＮ内部の装置を保護している。

フィルタリングやＳＰＩのファイアウォール機能は、外部との境界を流れるデータを監視し、主に外部ＷＡＮからの不正なアクセスによるパケットを廃棄し、外部からの不正アクセスを防ぐものである。ＮＡＴ／ＮＡＰＴ機能は、プライベートアドレスとグローバルアドレスとを変換する機能を有し、これによって、不足しがちなグローバルＩＰアドレスを節約するとともに、宅内の各装置のＩＰアドレスをインターネット側から隠蔽することができる。

また、ＩＤＳ機能は、通過するパケットを分析し、パターン照合によりネットワークへの不正アクセスと判断されるパケットを、管理者に電子メールなどで通報するシステムである。このように、近年の加入者線終端装置は様々なセキュリティ機能を備え、装置配下のＬＡＮ内端末への不正アクセスに対する保護対策を講じている。

Ｄｏｓ／ＤＤｏｓ攻撃を防ぐ不正アクセス対処システムとして、下記の特許文献１に、複数のＩＳＰ（Internet Services Provider）が協調して、不正アクセス発信元にできるだけ近い場所で不正アクセス対策を実施することにより、分散型サービス不能化攻撃に対処する不正アクセス着信拒否技術が記載されている。

特開２００４−２８０７２４号公報

前述のような加入者線終端装置が、宅内ＬＡＮと外部ＷＡＮとの間に置かれているが、もしも、この加入者線終端装置で通過パケットのフィルタリングを行わない状態で、外部ネットワークからＬＡＮ内のユーザ端末へＤｏＳ／ＤＤｏＳ攻撃が加えられると、ユーザ端末の中央処理ユニット（ＣＰＵ）に高負荷が掛かり、ユーザ端末がダウンして動作不能な状態に陥る弊害が発生する。

ＩＰｖ４ネットワーク環境では、非武装地帯と言われるＤＭＺ（DeMilitarized Zone）などに設置した、グローバルＩＰアドレスを有するサーバ等が、ＤｏＳ／ＤＤｏＳ攻撃の標的となる。ＩＰｖ６ネットワーク環境ではＮＡＴ機能がないため、グローバルＩＰアドレスが割り当てられた全てのユーザ端末が標的となり得る。ここでいうユーザ端末とは、パーソナルコンピュータやその周辺機器、ＡＶ（Audio Visual）機器、電話機、家電製品など、宅内ＬＡＮに繋がれた標的対象となり得る端末である。

このため、モデムやブロードハンドルータなどの加入者線終端装置には、ＷＡＮ側からの不正なパケットをフィルタリングする機能を備え、加入者線終端装置で該パケットを廃棄することにより、ユーザ端末への不正なパケットの転送を防いでいる。しかし、この防護は、加入者線終端装置で廃棄処理を行っているため、大量のＤｏＳ／ＤＤｏＳ攻撃が加えられると、加入者線終端装置のＣＰＵに高負荷が掛かり、ＤｏＳ／ＤＤｏＳ攻撃中はモデム機能の制御が不能となることがある。

これは、加入者線終端装置の中央処理ユニット（ＣＰＵ）が不正なパケットの廃棄に処理能力を奪われるためで、ウェブからの制御が不能になったり、加入者線終端装置のステータス状態を表示する発光ダイオード（ＬＥＤ）が正常に明滅しなくなったり、最悪の場合はハングアップしたりする恐れもある。

また、ＩＤＳ機能を用いて不正アクセスを検知しても、該不正アクセスは、電子メールによってユーザに通知され、該電子メールを見たユーザが手動により不正アクセスを防ぐ設定変更を加入者線終端装置などに対して直接行わなければならず、加入者線へのＤｏＳ／ＤＤｏＳ攻撃を加入者線終端装置側で検知しても、それを自動的に防ぐことができなかった。

本発明は、ユーザ宅内の加入者線終端装置やユーザ端末などの比較的安価な装置において、ＤｏＳ／ＤＤｏＳ攻撃による処理負担の増大によって、それらの装置の中央処理ユニット（ＣＰＵ）の機能が麻痺するのをユーザ宅内の装置側で自動的に防護し、ＤｏＳ／ＤＤｏＳ攻撃により、加入者線終端装置やユーザ端末が制御不能になったりダウンしたりするのを防ぐことを目的とする。

本発明の加入者線終端装置は、（１）ユーザ宅内側に設置された加入者線終端装置において、通過するパケットを分析し、ＤｏＳ又はＤＤｏＳ攻撃によるパケットを検出するＤｏＳ／ＤＤｏＳ攻撃検知手段と、前記加入者線終端装置内の中央処理ユニットの処理負荷が、予め定めた閾値を超えたときに、上位通信装置に対して、該ＤｏＳ又はＤＤｏＳ攻撃によるパケットを転送しないよう要求する転送拒否要求を通知する転送拒否要求通知手段と、を備えたことを特徴とする。

また、（２）配下のＬＡＮ内装置で大量のパケットによるＤｏＳ又はＤＤｏＳ攻撃を検知した旨の通知を受けたときに、上位通信装置に対して、該ＤｏＳ又はＤＤｏＳ攻撃によるパケットを、該加入者線終端装置へ転送しないよう要求する転送拒否要求を通知する転送拒否要求通知手段を備えたことを特徴とする。

また、（３）配下のＬＡＮ内装置を送信元とするＤｏＳ又はＤＤｏＳ攻撃をＩＤＳ機能により検出する手段と、前記加入者線終端装置内の中央処理ユニットの処理負荷が、予め定めた閾値を超えたときに、上位通信装置に対して、該ＤｏＳ又はＤＤｏＳ攻撃によるパケットを上位ネットワークに転送しないよう要求する転送拒否要求を通知する転送拒否要求通知手段と、を備えたことを特徴とする。

また、（４）前記転送拒否要求通知手段は、イーサ（登録商標）フレーム、ＩＰパケット若しくはそれ以上の高いレイヤの保守フレーム、又はイーサネット（登録商標）の物理レイヤにおけるパケット間ギャップを用いて、前記転送拒否要求を通知することを特徴とする。

また、（５）ユーザ宅内側に設置された加入者線終端装置において、通過するパケットを分析し、配下のＬＡＮ内装置を送信元とするＤｏＳ又はＤＤｏＳ攻撃を検出する手段と、前記加入者線終端装置内の中央処理ユニットの処理負荷が、予め定めた閾値を超えたときに、前記ＤｏＳ又はＤＤｏＳ攻撃の送信元のＬＡＮ内装置とのリンクを切断するリンク切断手段と、を備えたことを特徴とする。

また、（６）配下のＬＡＮ内装置を送信元とするＤｏＳ又はＤＤｏＳ攻撃が検出された旨の通知を上位通信装置から受けたときに、該ＤｏＳ又はＤＤｏＳ攻撃の送信元のＬＡＮ内装置とのリンクを切断するリンク切断手段を備えたことを特徴とする。

また、（７）ユーザ宅内側に設置された加入者線終端装置において、通過するパケットを分析し、ＤｏＳ又はＤＤｏＳ攻撃によるパケットをＩＤＳ機能により検出するＤｏＳ／ＤＤｏＳ攻撃検知手段と、前記加入者線終端装置内の中央処理ユニットの処理負荷が、予め定めた閾値を超えたときに、上位通信装置に対してＩＰアドレスの再取得を行う手段と、を備えたことを特徴とする。

また、（８）配下のＬＡＮ内装置で大量のパケットによるＤｏＳ又はＤＤｏＳ攻撃を検知した旨の通知を受けたときに、上位通信装置に対して、ＩＰアドレスの再取得を行う手段を備えたことを特徴とする。

また、本発明のユーザ端末は、（９）ユーザ宅内のユーザ端末において、通過するパケットを分析し、ＤｏＳ又はＤＤｏＳ攻撃によるパケットをＩＤＳ機能により検出するＤｏＳ／ＤＤｏＳ攻撃検知手段と、前記ユーザ端末内の中央処理ユニットの処理負荷が、予め定めた閾値を超えたときに、該ユーザ端末自身のＩＰアドレスを変更する手段と、を備えたことを特徴とする。

上位ネットワーク側でＤｏＳ／ＤＤｏＳ攻撃を検知して防御するには、非常に高価な不正アクセス検知サーバを備える必要があるが、本発明では加入者線単位でＤｏＳ／ＤＤｏＳ攻撃を検知して防御することによって、安価なブロードハンドルータ等のユーザ宅内の装置でＤｏＳ／ＤＤｏＳ攻撃に対する防護が可能になる。

また、上位ネットワークで通過する全てのパケットを、正常なパケットか不正なパケットか洩れなく判断するのは至難であるが、ＤｏＳ／ＤＤｏＳ攻撃を加入者線単位で個々に中央処理ユニットの処理負荷が閾値を超えたか否かを基に検知して、それを防御することにより、ＤｏＳ／ＤＤｏＳ攻撃に確実に対処することができる。モデムやブローハンドルータ等の宅内装置は安価でパフォーマンスが低いが、本発明によりそれらの装置の中央処理ユニットの処理機能をＤｏＳ／ＤＤｏＳ攻撃から保護することができる。

本発明のＤｏｓ／ＤＤｏｓ攻撃防護の第１の実施形態を示す図である。 本発明のＤｏｓ／ＤＤｏｓ攻撃防護の第２の実施形態を示す図である。 本発明のＤｏｓ／ＤＤｏｓ攻撃防護の第３の実施形態を示す図である。 本発明のＤｏｓ／ＤＤｏｓ攻撃防護の第４の実施形態を示す図である。 本発明のＤｏｓ／ＤＤｏｓ攻撃防護の第５の実施形態を示す図である。 本発明のＤｏｓ／ＤＤｏｓ攻撃防護の第６の実施形態を示す図である。 本発明を適用した加入者系システムの構成例を示す図である。 本発明のユーザ側の加入者線装置のソフトウェア機能ブロックを示す図である。 本発明を適用した加入者系システムでのＤｏＳ／ＤＤｏＳ攻撃防護の例を示す図である。

図１は本発明によるＤｏｓ／ＤＤｏｓ攻撃防護の第１の実施形態を示す。図１では、家庭内や事業所内のユーザ端末１と外部ＷＡＮとの境界に、ユーザ側の加入者線終端装置２が置かれ、その上位側に加入者線３を介して接続された加入者線終端集合側装置４が設置される実施形態を示している。

ここで、加入者線終端集合側装置４は、ＤＳＬＡＭ（Digital Subscriber Line Access Multiplexer）やＢＡＳ（Broadband Access Server）など、複数のｘＤＳＬ回線を束ね、ルータなどの通信機器と接続して高速・大容量の基幹回線(バックボーン)への橋渡しを行なう集線装置である。

外部ネットワークから大量のパケットが意図的に送出されるＤｏＳ／ＤＤｏＳ攻撃を受けると、これをユーザ側の加入者線終端装置２でＩＤＳ機能等により検出する。ユーザ側の加入者線終端装置２には、該ＤｏＳ／ＤＤｏＳ攻撃によるＣＰＵへの負荷増大に対して予め一定の閾値を設けておき、ＣＰＵの負荷がその閾値を超えたときに、上位通信装置の加入者線終端集合側装置４に対して、ＤｏＳ／ＤＤｏＳ攻撃に係るパケットを転送しないよう要求する転送拒否要求を通知する（通知＃１）。

ＣＰＵの負荷の閾値を設けるのは、ＤｏＳ／ＤＤｏＳ攻撃を受けて加入者線終端装置２がハングアップする前に、転送拒否要求の通知を行うためである。これによって、該転送拒否要求に対応した上位装置の加入者線終端集合側装置４で、該パケットの送信元アドレス、送信元ポート番号又はプロトコルによってフィルタリングを行い、ＤｏＳ／ＤＤｏＳ攻撃によるパケットを上位装置の加入者線終端集合側装置４で廃棄し、加入者線３へのネットワーク帯域の負荷やユーザ側の加入者線終端装置２や宅内のユーザ端末１のＣＰＵへの負荷の増大から保護することができる。

上述のパケットを転送しないよう要求する加入者線終端装置２から上位通信装置の加入者線終端集合側装置４に対する転送拒否要求の通知＃１には、イーサ（登録商標）フレームやＩＰパケット又はそれより高いレイヤの保守フレームを用いることができる。また、ユーザデータのトラフィックに影響を及ぼすことなく、イーサネット（登録商標）の物理レイヤにおける保守管理機能を実現するパケット間ギャップを、上記転送拒否要求の通知＃１に用いる構成とすることもできる。

本発明のＤｏｓ／ＤＤｏｓ攻撃防護の第２の実施形態を図２に示す。この実施形態では、ユーザ側の加入者線終端装置２の配下のＬＡＮ内のユーザ端末１で、大量のパケットによるＤｏＳ／ＤＤｏＳ攻撃を検知したときに、該ユーザ端末１がユーザ側加入者線終端装置２に不正な攻撃を検知した旨を通知する（通知＃２）。加入者線終端装置２は、その通知を受けて、上位通信装置の加入者線終端集合側装置４に対して、パケットを転送しないよう転送拒否要求を、上述の実施形態１で説明した手法で通知する（通知＃１）。

この第２の実施形態は、ユーザ側の加入者線終端装置２の配下のＬＡＮ内のユーザ端末１と連携して、ＤｏＳ／ＤＤｏＳ攻撃から加入者線側を保護する形態である。この実施形態における上述の通知＃２の手法としては、家庭内のパーソナルコンピュータや周辺機器、ＡＶ機器、電話機、家電製品などの機器を、ネットワークを通じて接続し、相互に機能を提供し合うための技術仕様として標準化されているＵＰｎＰ（Universal Plug and Play）を使用して通知する構成とすることができる。

図３に本発明のＤｏｓ／ＤＤｏｓ攻撃防護の第３の実施形態を示す。この実施形態は、上述のＤｏＳ／ＤＤｏＳ攻撃の場合とは逆に、加入者線終端装置２の配下の端末が送信元となっているＤｏＳ／ＤＤｏＳ攻撃を、ユーザ側の加入者線終端装置２で防ぐ実施形態である。

ユーザ側の加入者線終端装置２の配下のＬＡＮ側に、ＤｏＳ／ＤＤｏＳ攻撃の送信元と推定される端末１が存在する場合に、これをユーザ側加入者線終端装置２で検知する。ユーザ側加入者線終端装置２には、ＤｏＳ／ＤＤｏＳ攻撃による負荷増大に対して或る一定の閾値を設けておき、負荷がその閾値を超えたときに、その端末１とユーザ側加入者線終端装置２との間のリンクを切断し、上位ネットワークへのＤｏＳ／ＤＤｏＳ攻撃の発生をユーザ側加入者線終端装置２で阻止する。

図４に本発明のＤｏｓ／ＤＤｏｓ攻撃防護の第４の実施形態を示す。この実施形態は、前述の第３の実施形態と同様に、加入者線終端装置２の配下の端末１が送信元となっているＤｏＳ／ＤＤｏＳ攻撃を防ぐ実施形態である。ユーザ側の加入者線終端装置２の配下のＬＡＮ側に、ＤｏＳ／ＤＤｏＳ攻撃の送信元と判定される端末１が存在する場合に、前述の実施形態３と同様にこれをユーザ側加入者線終端装置２で検知し、ＤｏＳ／ＤＤｏＳ攻撃による負荷増大が閾値を超えたときに、上位通信装置の加入者線終端集合側装置４に対して、該攻撃に係るパケットを上位ネットワークへ転送しないという転送拒否要求を、前述の実施形態１等と同様の手法で通知する（通知＃１）。

加入者線終端集合側装置４は、上記の通知＃１を受けると、該パケットの送信元アドレス、送信元ポート番号又はプロトコルによってフィルタリングを行い、ＤｏＳ／ＤＤｏＳ攻撃によるパケットを廃棄し、上位ネットワークへ不要なパケットが送出されるのを防ぐ。こうすることにより、加入者線３より上位ネットワークへのＤｏＳ／ＤＤｏＳ攻撃による無駄なトラフィック負荷を低減することができる。

図５に本発明のＤｏｓ／ＤＤｏｓ攻撃防護の第５の実施形態を示す。この実施形態の前述の第３及び第４の実施形態と同様に、加入者線終端装置２の配下の端末が送信元となっているＤｏＳ／ＤＤｏＳ攻撃を防ぐ形態である。ユーザ側の加入者線終端装置２の配下のＬＡＮ側に、ＤｏＳ／ＤＤｏＳ攻撃の送信元と推定される端末１が存在する場合に、その攻撃を加入者線終端集合側装置４で検知し、加入者線終端集合側装置４からその送信元と判定されるユーザ側の加入者線終端装置２に対して、そのパケットを転送しないことを要求する転送拒否要求を、前述の第１の実施形態と同様の手法で通知し、送信元のユーザ側加入者線終端装置２のフィルタリング機能により、ＤｏＳ／ＤＤｏＳ攻撃パケットを廃棄する。また、ユーザ側加入者線終端装置２では、前述の実施形態３のように、その送信元と判定される端末１とのリンク自体を切断することによってＤｏＳ／ＤＤｏＳ攻撃を防ぐ構成とすることもできる。

図６は本発明のＤｏｓ／ＤＤｏｓ攻撃防護の第６の実施形態を示す。この第６の実施形態は、前述したような上位通信装置の加入者線終端集合側装置４への通知によるＤｏＳ／ＤＤｏＳ攻撃の防護とは異なり、ユーザ側加入者線終端装置２に割り当てられているＩＰアドレスそのものを再取得して変更することによって、ＤｏＳ／ＤＤｏＳ攻撃を防ぐ実施形態である。

外部ネットワークからＤｏＳ／ＤＤｏＳ攻撃を受けると、ユーザ側に設置された加入者線終端装置２においてこれを検知し、前述の実施形態１と同様に、ＣＰＵの負荷が或る閾値を超えたときに、上位通信装置の加入者線終端集合側装置４に対してＩＰアドレスの再取得を行い、自身のＩＰアドレスを変更する。

ＩＰアドレスの変更により、ＤｏＳ／ＤＤｏＳ攻撃対象となっているＩＰアドレスと異なるものとなり、ユーザ側の加入者線終端装置２へ大量のパケットが転送されるのを防ぐことができる。ＩＰアドレスの再取得は、第１の実施形態のように、保守フレームやフレームギャップを使用する構成とは異なり、加入者線終端集合側装置４に特別な機能追加や変更を行わなくても、現状の環境のままでユーザ側の加入者線終端装置２へのＤｏＳ／ＤＤｏＳ攻撃を防ぐことができる。

また、ユーザ端末１がＤｏＳ／ＤＤｏＳ攻撃を受け、このユーザ端末１でＤｏＳ／ＤＤｏＳ攻撃を検知することができる場合は、該ユーザ端末１自身でＩＰアドレスを変更する構成を設けることにより、ユーザ端末１へのＤｏＳ／ＤＤｏＳ攻撃による大量パケットの転送を防ぐことができる。

このような不正パケットの検知が可能な端末１が、不正な攻撃を検知した旨を加入者線終端装置２にＵＰｎＰ等で通知することによって、加入者線終端装置２がこれを受信し、第６の実施形態のように上位通信装置の加入者線終端集合側装置４に対してＩＰアドレスの再取得を行うことで、配下ＬＡＮ装置と連携してＤＯＳ／ＤＤＯＳ攻撃を防ぐ構成とすることもできる。

以下、本発明の実施例について説明する。なお、以下の実施例は一例であり、本発明の構成は以下の実施例に限定されるものではない。図７に本発明を適用した加入者系システムの構成例を示す。同図に示すように、家庭内にＰＣサーバ１１やパーソナルコンピュータ１２が設置され、それらは、家庭内ゲートウェイとしてのＡＤＳＬモデム１３を介してインターネットに接続される。ＡＤＳＬモデム１３は前述したユーザ側加入者線終端装置に相当する。

ここで家庭内は、有線ＬＡＮ、無線ＬＡＮ、ＨｏｍｅＰＮＡ（Home Phone line Networking Alliance）などを介して、各端末が加入者線終端装置に接続される。加入者線にはこの実施例ではＡＤＳＬ回線が用いられているが、加入者線はＦＴＴＨ、ＶＤＳＬ（Very high-bit-rate Digital Subscriber Line）、ＣＡＴＶなどの回線であってもよい。

その場合、ユーザ側加入者線終端装置は、それぞれの回線に対応したブロードハンドルータやＣＰＥ（Customer Premises Equipment：宅内装置）、ケーブルモデム等となる。また、例えば、加入者線がＡＤＳＬ回線であっても、ＡＤＳＬモデムをブリッジとして用い、その配下にブロードハンドルータを接続する構成としてもよい。このときは、ブロードハンドルータが本発明のユーザ側加入者線終端装置となる。

ＡＤＳＬモデム１３の対向装置として、加入者線の上位側にブロードバンドアクセスサーバ（ＢＡＳ）１４が設置され、このブロードバンドアクセスサーバ（ＢＡＳ）１４はＩＰアドレス配布機能を有する。ブロードバンドアクセスサーバ（ＢＡＳ）１４は本発明の加入者線終端集合側装置に相当し、そのＷＡＮ側はインターネットやＩＰ網などである。ＡＤＳＬモデム１３は、ブロードハンドルータ機能やファイアウォール機能を有し、非武装地帯（ＤＭＺ）にＰＣサーバ１１が繋がっているものとする。

図８は本発明のユーザ側の加入者線装置のソフトウェア機能ブロックを示す。ＷＡＮ側から入力されたパケットは、ブロードハンドルータ（ＢＢＲ）機能部内のＰＰＰ、ＮＡＴ／ＮＡＰＴ、ＤＭＺ処理部を通過してファイアウォール機能部の処理に移る。ここでフィルタリングやＳＰＩ（Stateful Packet Inspection）、不正アクセス検知が行われ、もしも不正アクセスが検知された場合は、フィルタリング通知機能によって上位装置への転送拒否要求の通知や、装置内部での通知処理によるリンク切断を行う。

ファイアウォール機能の次段で、ルーティングやＱｏＳ等のレイヤ３処理が行われ、更にその次にＬＡＮ側へ送信する前にレイヤ２の処理が行われる。また、第６の実施形態のように、ＩＰアドレスの再取得による攻撃防護に関しては、特別なフィルタリング通知機能を備えなくても、既存のＩＰｖ４ではＰＰＰｏＥ（PPP over Ethernet）やＤＨＣＰ（Dynamic Host Configuration Protocol）、ＩＰｖ６ではＤＨＣＰｖ６やルーターアドバタイズメント（ＲＡ）などの機能によって、ＩＰアドレスの再取得を実現することができる。また、第２の実施形態などのように、宅内通信装置とのやりとりに、ＡＤＳＬモデム１３に既に備えられているＵＰｎＰの技術を使用することができる。

ここで図７のネットワーク構成例において、図９に示すように、外部ＷＡＮからＤｏＳ／ＤＤｏＳ攻撃により、非武地帯（ＤＭＺ）のＰＣサーバ１１宛に大量のパケットが送信されたとすると、ＡＤＳＬモデム１３は、外部ＷＡＮからの一方的なパケットであるため不正パケットと判定し、該パケットをフィルタリングして廃棄することで、ＡＤＳＬモデム１３配下のＰＣサーバ１１への大量のパケットの転送を防ぐ。

しかし、余りに大量のパケットが送られると、ＡＤＳＬモデム１３ではその廃棄処理がＣＰＵにとって大きな負荷となる。そこで、この負荷がＡＤＳＬモデム１３のＣＰＵの処理能力を圧迫するような閾値を超えたときに、ブロードバンドアクセスサーバ（ＢＡＳ）１４に対して、ＩＰアドレスの再取得を行う。こうすることによって、大量のパケットが転送された場合でもシステムダウン（機能麻痺）することなく、ＤｏＳ／ＤＤｏＳ攻撃を防ぐことができる。

但し、このとき、同時にＳＩＰ（Session Initiation Protocol）のＲＥＧＩＳＴＥＲ（サーバ側への登録情報）やＤＤＮＳ（Dynamic Domain Name System）により、ＩＰアドレス変更に伴うＳＩＰ登録やＤＮＳ登録を再登録も行わなければならない。つまり、ＩＰアドレスの取得に関しては初期化される。

１ ユーザ端末
２ ユーザ側の加入者線終端装置
３ 加入者線
４ 加入者線終端集合側装置
１１ ＰＣサーバ
１２ パーソナルコンピュータ
１３ ＡＤＳＬモデム
１４ ブロードバンドアクセスサーバ（ＢＡＳ）

Claims (3)

1. ユーザ宅内側に設置された加入者線終端装置において、
   通過するパケットを分析し、ＤｏＳ又はＤＤｏＳ攻撃によるパケットをＩＤＳ機能により検出するＤｏＳ／ＤＤｏＳ攻撃検知手段と、
   前記加入者線終端装置内の中央処理ユニットの処理負荷が、予め定めた閾値を超えたときに、上位通信装置に対してＩＰアドレスの再取得を行う手段と、
   を備えたことを特徴とする加入者線終端装置。
2. 配下のＬＡＮ内装置で大量のパケットによるＤｏＳ又はＤＤｏＳ攻撃を検知した旨の通知を受けたときに、上位通信装置に対して、ＩＰアドレスの再取得を行う手段を備えたことを特徴とする請求項１に記載の加入者線終端装置。
3. ユーザ宅内のユーザ端末において、
   通過するパケットを分析し、ＤｏＳ又はＤＤｏＳ攻撃によるパケットをＩＤＳ機能により検出するＤｏＳ／ＤＤｏＳ攻撃検知手段と、
   前記ユーザ端末内の中央処理ユニットの処理負荷が、予め定めた閾値を超えたときに、該ユーザ端末自身のＩＰアドレスを変更する手段と、
   を備えたことを特徴とするユーザ端末。

Images